Deux chercheurs en sécurité ont révélé une importante faille de sécurité touchant les clés USB baptisée « BadUSB ».
En Juillet, les chercheurs en sécurité Karsten Nohl et Jakob LELL ont annoncé qu’ils avaient trouvé une faille de sécurité critique sur les clés USB. Ils avaient alors appelé cette faille « BadUSB ». Celle-ci permet aux pirates d’installer des logiciels malveillants, espionner et contrôler un ordinateur sans être repérés. Pire encore, aucune solution ne semble exister pour corriger la brèche, du moins pas par l’utilisation d’un simple correctif. Quiconque branche une clé USB à un ordinateur peut être infecté, et parce que le malware se cache dans le firmware USB, il est difficile de s’en protéger sans reprogrammer complètement le système. La seule bonne nouvelle, c’est que les deux chercheurs n’ont pas publier le code.
Mais ça, c’était jusqu’à la semaine dernière. Deux autres chercheurs en sécurité informatique, Adam Caudill et Brandon Wilson, sont parvenus à reproduire en grande partie le problème ont choisi de publier leurs travaux. Caudill justifie cette publication en disant qu’il s’agit de la seule méthode efficace pour que les constructeurs de clés USB revoient le fonctionnement de leurs logiciels. « Si les seules personnes capables d’utiliser cette faille sont les entités disposant de budgets importants [comme la NSA, NDLR] le problème ne sera jamais corrigé », ont-ils affirmé auprès du magazine américain Wired.
Pourtant, il est peu probable que cela donne un coup de pouce à la sécurité USB. Tant que les pirates peuvent reprogrammer le firmware USB, ce genre de faille restera une menace. La seule façon de corriger la vulnérabilité est une nouvelle couche de sécurité autour de firmware, mais cela signifierait une mise à jour complète de la norme USB en elle-même, et cela pourrait prendre jusqu’à plus de dix an.
Etant donné que cette faille vient juste d’être dévoilée, elle est peu susceptible de concerner le grand public, mais mieux vaut redoubler de vigilance avec les clefs USB : vérifier sa provenance, et appliquer les mises à jour de sécurité sur son ordinateur.
